Обнаружение новых фишинговых сайтов по признакам адреса и содержимого страницы методами машинного обучения

Abstract

Число фишинговых атак на пользователей информационных систем быстро растёт, а чёрные списки, которые должны от них защищать, обновляются с задержкой и ничего не знают о только что созданных сайтах. Цель работы - построить модель машинного обучения, которая выявляет фишинговые сайты по признакам веб-адреса и содержимого страницы, и сравнить её с проверкой по чёрному списку. Случайный лес и градиентный бустинг обучены на открытом наборе Phishing Websites (репозиторий UCI): n = 11 055 записей, из них 4 898 фишинговых; выборка разделена на обучающую и тестовую в соотношении 80 к 20. На тестовой выборке из 2 211 записей случайный лес показал точность 97,7 % и полноту 96,7 %, градиентный бустинг - 95,0 % и 93,8 %, а признак чёрного списка из того же набора дал 56,7 % и 16,8 %. Пятикратная перекрёстная проверка дала у случайного леса 97,0 ± 0,3 %, а исключение признака чёрного списка из входов модели точность не изменило. Разрыв в 41 процентный пункт относится именно к этому признаку, а не к промышленным службам блокировки; проверка на свежих адресах остаётся задачей следующего этапа. Модель пригодна как второй рубеж защиты, который администратор информационной системы ставит после списков.